После входа приложение перенаправляло на любой адрес из параметра next — ссылкой вида /login?next=https://… можно было увести пользователя на чужой сайт.
